Trezor升级密码短语至128位应对安全威胁

Trezor近日宣布将其硬件钱包支持的密码短语最大长度从50字符扩展至128字符，旨在强化用户资产在潜在泄露情况下的防护能力。此次更新是针对2026年7月发生的重大冷钱包安全事件所作出的关键响应。

密码短语升级背景与技术细节

该功能已于10月随软件更新上线，并要求用户同步升级Trezor Suite客户端及设备固件。目前支持的设备包括Model T、Safe 3、Safe 5和Safe 7，而较早发布的Model One仍维持原有50字符限制。

密码短语作为可选附加层，与助记词协同工作：助记词用于恢复钱包基础信息，而额外输入的密码短语则生成一个独立的、具有不同地址和余额的钱包实例。只有同时提供正确助记词与精确密码短语，才能成功访问受保护账户。

值得注意的是，该短语区分大小写且包含空格，任何细微差异都会导向完全不同的钱包。一旦遗忘，将无法通过任何途径找回，可能导致资金永久丢失。因此Trezor强烈建议用户在转移资产前验证恢复流程，并采用安全方式记录信息。

源自重大安全事件的深层反思

此次升级直接回应2026年7月曝光的Coldcard固件漏洞事件。当时因随机数生成机制缺陷，部分设备生成的恢复短语有效熵值从标准128比特骤降至约40比特，使攻击者可在无需物理接触的前提下批量破解。

据报告，7月31日单次攻击中，约500个受影响钱包内的594枚比特币（当时价值约3800万美元）在25分钟内被清空。截至8月12日，累计损失已超过1.16亿美元，波及地址超过5200个。

调查发现，部分用户因设置了强密码短语而未遭损失——即使恢复短语被重构，攻击者也无法获取正确的附加短语，从而形成关键防线。

新增风险预警与防范措施

尽管提升了安全性，但Trezor仍提醒用户注意风险：若忘记密码短语，将无法恢复资金。此外，2026年10月30日，Trezor收到印尼用户反馈称其购买的Safe 5设备内部存在疑似额外电路板，可能用于窃取恢复短语等敏感数据。

虽然尚未确认实际损失，但公司已启动调查，由Security Alliance的SEAL 911应急服务协助处理。Trezor建议自2026年3月起通过经销商CryptoBilis购入设备的用户尽快将资产迁移至使用全新恢复短语创建的新钱包，并可申请替换设备或凭证。

针对此前漏洞，Coldcard已于2026年8月引入新规则，要求用户通过键盘敲击、掷骰子或抛硬币等方式主动注入不可预测输入，以增强种子生成的随机性。但该措施无法修复已有脆弱恢复短语。